パソコンを起動するとなんか勝手にポップアップがでてきた。Switch your default search engine to Microsoft Bing in Chrome.

カテゴリー: General

2023-08-26

タイトル

執筆：2023.08.26
編集：2023.08.26

パソコンを起動するとなんか勝手にポップアップがでてきた。

日本語で表示されていないし新種のマルウエアだろうか？
暗号化身代金マルウエアである場合もあるので、安易にクリックしてはいけない。

Switch your default search engine to Microsoft Bing in Chrome.

- Earn Microsoft Rewards points when you search
- Try the new Bing, your AI-powered search engine
- Install Bing Service to improve search experience

[Don't Switch] [Yes]

入念な調査結果：

C:\Windows\Temp\MUBSTemp\BGAUpsell.EXE

が犯人であることが確定した。

タスクマネージャー：プロセス：アプリ：BGAUpsell(32 ビット)
右クリックして最小化を押してみると、ポップアップが最小化されたので犯人はコレ。

システムのテンポラリフォルダから隠れて起動とは、ますますあやしい。

純正署名入りマルウェアである以上、消してもまた出てくる可能性が高い

とりあえず、ボタンは押さずに、タスクマネージャーから強制終了しよう

強制終了する
タスクバー「右クリック」：タスクマネージャーをクリック
項目が似ていて間違うので、次の手順で確実に移動する
メニューアイコンをクリックして「プロセス」をクリックする
アプリというところに「BGAUpsell(32 ビット)」があるので

２段あるうちの下段を右クリックすると「タスクの終了」があるので終了する

さらに
二度と顔をださないように、次の２通りのブロックを施しておく。

BGAUpsell.EXE
説明: BGAUpsell
場所: C:\Windows\Temp\MUBSTemp

デジタル署名：Microsoft Corporation
‎2023‎年‎8‎月‎17‎日 1:31:58

どうやらここ1週間で話題になっているマルウエアっぽい
(1) : Malicious.0ca85b
(残り) : Undetected

撃退 (1) ファイルのセキュリティでブロックする

ファイルを消すと、また出てくると思うので
(1)ファイルのプロパティで Usersの読み込み禁止に設定します
C:\Windows\Temp\MUBSTemp\BGAUpsell.EXE
セキュリティ: [Users] フルコントロール: 拒否
これでこのアプリは、起動不能になります。

エクスプローラーから行うと TEMPのアクセス権をとっていいかとかごちゃごちゃうるさいので、
コマンドから行ったほうがいい

コマンドプロンプト(管理者として実行)：

icacls C:\Windows\Temp\MUBSTemp\BGAUpsell.EXE /deny Users:F

このコマンドは、C:\Windows\Temp\MUBSTemp\BGAUpsell.EXEファイルに対して、ユーザーグループ「Users」に属するユーザーがフルアクセス（F）を拒否されるように設定します。これにより、ユーザーグループ「Users」に属するユーザーは、このファイルを開いたり、変更したりすることができなくなります。

気持ち悪いならファイルを消して、MUBSTempフォルダ自体をアクセス禁止にするほうがいいかもしれない。
ファイル自体は del コマンドで簡単に消える。

del C:\Windows\Temp\MUBSTemp\BGAUpsell.EXE
icacls C:\Windows\Temp\MUBSTemp /deny Users:(OI)(CI)(F)

ただし、この設定は非常に強力ですので、注意して使用する必要があります。

撃退 (2) ファイヤーウォールで通信を遮断する

次に、念のためファイアウォールでweb通信をブロックしましょう。

検索アイコンにファイヤーウォールを入力して設定を探す
ファイヤーの状態の確認する：　詳細設定

送信の規則
(1) プログラムを指定してブロック

C:\Windows\Temp\MUBSTemp\BGAUpsell.EXE

(2) 全通信ブロック

(3) タイトルと説明を入力する

タイトル

MS - マルウェア C:\Windows\Temp\MUBSTemp\BGAUpsell.EXE

説明：

パソコンを起動するとなんか勝手にポップアップがでてきた。

Switch your default search engine to Microsoft Bing in Chrome.
- Earn Microsoft Rewards points when you search
- Try the new Bing, your AI-powered search engine
- Install Bing Service to improve search experience
[Don't Switch] [Yes]

WindowsForms10.BUTTON.app.0.fb11c8_r7_ad1

では、犯人と思われる人にインタビューします

Bing先生に聞いてみた！

いつもならすごい剣幕で否定するはずなんですが
なんと回答拒否・黙秘権を行使されました

いつも都合が悪いと逃げるので確信犯ですね。

質問を変えてみましょう

パソコンを開くと身に覚えのないポップアップが表示されました。タスクは、C:\Windows\Temp\MUBSTemp\BGAUpsell.EXE ですこれは、セキュリティ上問題のあるファイルですか？

Bing:

BGAUpsell.exeは、Windows 11および10のオペレーティングシステムのアップデートであるMicrosoft Bing Service 2.0に関連しています。このアップデートの目的は、Microsoft Bingのセキュリティを強化することです。以前、Microsoft BingはSHA-1アルゴリズムを使用していましたが、このアップデートにより、より安全なSHA-2アルゴリズムで実行されるようになります。ただし、このファイルが元の場所にない場合、ウイルスファイルになる可能性があります。このファイルが正当なソースから来ており、安全な場所にある場合は、使用しても安全です1。

ただし、BGAUpsell.exeがC:\Windows\Temp\MUBSTemp\にあるということは、それが正当なソースから来ているとは限りません。そのため、セキュリティ上の問題がある可能性があります。ウイルス対策ソフトウェアを実行して、コンピューターをスキャンすることをお勧めします2。

「元の場所にない場合」とありますが元の場所とは具体的にどこですか、フルパスで教えてください

Bing:

BGAUpsell.exeの元の場所については、私の検索結果には明確な情報がありません。ただし、一部のユーザーは、このファイルがWindowsのTempフォルダにあると報告しています。このファイルが正当なソースから来ているかどうかを確認するために、ウイルス対策ソフトウェアを実行して、コンピューターをスキャンすることをお勧めします。

そのファイルは、マイクロソフトの署名がありますが virustoalでは１件マルウェアと判定が出ています。

Bing:

VirusTotalは、複数のウイルス対策エンジンを使用してファイルをスキャンするサービスです。1つのエンジンがマルウェアと判定した場合、そのファイルが必ずしも危険であるとは限りません。ただし、そのような結果が出た場合は、注意が必要です。マイクロソフトの署名がある場合、そのファイルは正当なものである可能性が高いですが、100％確実ではありません。最善の方法は、信頼できるウイルス対策ソフトウェアを使用してコンピューターをスキャンすることです。

そのファイルの正式なファイルのハッシュ値はマイクロソフトのどこで公開されていますか

Bing:

私の検索結果によると、BGAUpsell.exeの正式なハッシュ値は、Microsoftの公式ウェブサイト上で公開されているようです。ただし、私はその具体的な場所を特定することができません。BGAUpsell.exeのMD5ハッシュ値は8E18E83CE4CAEFD65BC069C1E719AA78、SHA1ハッシュ値は65058C10CA85BB865499A85DFDF2D43101792CB7であると報告されています1。この情報が役立つことを願っています。

ではまたお会いしましょう！👋